Tabletop Exercise For Cybersecurity Educational Training; Theoretical Grounding And Development

Haridus- ja treeningaspektid on riiklike küberturvalisuse strateegiate vitaalsed komponendid, et kujundada, tugevdada ning proovile panna otsustajate valmisolekut nii aktuaalsete kui võimalike tulevaste küberväljakutsete ees. Küberkaitses ja -julgeolekus on otsuste langetamisel üliolulised kriisijuhtimisoskused, et suuta adekvaatselt vastata juhtumitele, mil era- või avalik heaolu ja turvalisus on ohustatud. Selle magistritöö eesmärk on välja pakkuda küberjulgeoleku strateegiate hariduslike komponentide võimalike ning teadaolevate nõrkuste parandamine, arutledes teadlikkuse väljaõpete mudeleid märkimisväärse mõjuga osavõtjatele, fookusega strateegilise otsustamisvõimega personalil, mis võiks osaleda küberjuhtumis. Töö toetab simulatsioonil põhinevate stsenaariumite kasutamist ning keskendub mudelõppuste kujundamisele. Käesolev töö näitab, kuidas mudelõpe võib olla tõhus viis küberjuhtumites strateegiliste otsuste langetamisel teadlikkuse, mõistmise ja ettevalmistuse kujundamiseks, parandamiseks ning proovilepanemiseks. Lõputöö tugineb ditsiplinaarsel ja kontseptuaalsel õpinguteooriate integratsioonil mängustamisel põhinevate ajenditega ning juhtimisteooriatega. Stsenaariumil põhinev treening pakub turvalist ja paindlikku keskkonda, kus osavõtja on pandud kriitilisse situatsiooni, säilitades realistlikku ülevaate küberkriisi tunnustest ning võimalikest ohtudest. Simulatsioon väljendab võimalikke väljakutseid, nõudes kriisijuhtimisoskusi ning kohast reaktsiooni. Mudelõppused võimaldavad andragoogilise kasu ja hariduslike eesmärkide realiseerimist innovatiivsel ja kaasaval meetodil. Selle treeningmudeli tulemused mõõdetakse kasutades Bloomi õppe-kasvatustöö eesmärkide liigituse kontrollitud taksonoomiat, arvesse võttes kogemusõppe ja paiknevustunnetuse elemente. VOOT-tsükkel pakub läbimõeldud otsustusprotsessi, mis samuti sobib antud ettepaneku dünaamikasse. Lisaks panustab töö originaalse modulaarse juhendiga, mida treenijad ning õppejõud saavad kasutada mudelõppe teostamiseks küberjulgeolekus. Riikliku ja rahvusvahelise tasandi mudelõppuste kogemus ja osavõtt sai empiirilist tuge teoreetilisele integratsioonile ning teadustas modulaarse juhendi arengut. Töö on kvalitatiivne. Lõputöö panustab asjakohasesse akadeemilisse dialoogi selle teoreetiliste alustega. Samuti praktiliselt, kuna pakub vahendeid simulatsioonipõhise mudelõppe läbiviimiseks.Education and training aspects are vital components of national cybersecurity strategies, to shape, enhance and test the decision maker’s level of preparedness before current and future challenges that can arise from a cyber incident. Decision-making processes in cyber defense and security require crucial crisis management competences capable of generating a comprehensive response where safety, well-being and other public and private assets could be put at stake. The purpose of this thesis is to suggest the improvement of potential and perceived weaknesses on the educational components of cyber security strategies, discussing awareness-training models with significant impact on the participants, focusing on strategic decision-making level personnel that could partake of cyber related incidents. The work supports the use of simulation-based scenarios, and concentrates on the design of Tabletop exercises. This thesis shows when a tabletop exercise could be an effective mechanism to shape, enhance and test the awareness, understanding and preparation for strategic decision makers in cyber related incidents. The thesis draws from a disciplinary integration of learning, human computer interaction, and management theories. A scenario-based training provides a safe and flexible environment where the participant is placed into a critical situation while maintaining a realistic insight into the characteristics of cyber crisis and the threats and attacks that may take place. The simulation represents possible challenges, demanding crisis management capacity and an appropriate response. Tabletop exercises permits that andragogical benefits and educational purposes be realized through an innovative and engaging method. Considering elements from experiential learning and situated cognition the learning outcomes of this training model will be measured, using Bloom’s revised taxonomy of educational objectives. The OODA Loop will suggest a thoughtful decision making process that also fits well the dynamic of the current proposal. Additionally, the thesis will contribute with an original modular guide that trainers and educators can use for the implementation of a Tabletop exercise on cyber security. National and international level tabletop exercises experience and participation provided empirical support to the theoretical contribution on theory integration, and informed the modular guide development. The work is qualitative and therefore seeks to observe, interpret and understand, by using documental analysis, and observation methods. The work contributes to the relevant academic dialog on its theoretical grounds and also in practical terms, by providing with tools readily applicable to the creation of simulation based tabletop exercises

Studier av HRM og ansattes ytringsrom gjennom organisasjonsmessig merkevarebygging

After decades of research there still are few studies which draw lines between research on HRM, employee voice and organizational branding. Such an academic cross-fertilization is offered by this dissertation, as a core argument in this work is that scholarship value is generated by exploring the three themes in the context of each other, and to see them as trajectories crossing each other. The intervowen nature of the present research is reflected in the main research question for the dissertation: What is the relationship between organizational branding, HRM, and employee voice in work organizations? Based on this, four sub-research questions are formulated: (i) What are the primary intra-organizational facilitators for active employee strategy support, and how do these facilitators conform to the control-commitment continuum? (ii) What is the role of HRM in reputation management, and what are the implications of reputation oriented HRM for employee voice? (iii) How do managers in public sector organizations experience and handle the tension between empowering employees as dedicated brand ambassadors while at the same time regulating their voice, and what are the possible implications for the public interest? (iv) What kind of HRM approach, as perceived by employees, facilitates internal branding, and specifically, employee brand support? The research questions are explored and answered in four academic articles. The first paper, titled "Trust and shout: HRM as facilitator for active strategy support", is based on a systematic review of the literature on factors which facilitate employees’ active support of strategies decided on by management in organizations, including branding strategies. Identified facilitators are analyzed in light of HRM approach. 12 main facilitators are identified, of which the most prevalent ones, albeit not all, gravitate towards the commitment side of the control-commitment continuum. Thus, commitment-gravitating HRM practices are found to be most effective in getting employees to actively support strategy in general, and branding strategies in particular. In the second paper, titled "When reputation management is people management: Implications for employee voice", 30 interviews are analyzed to explore the tension between organizational desires for a flattering external reputation and the risk of negative communication about the organization by employees, termed prohibitive voice. Rooted in the theoretical span between trusting employees to act as brand ambassadors and distrusting them enough to impose voice restrictions, findings reveal that organizations handle the tension with coercive HRM and technocratic control, which manifested itself as restrictions on the use of voice, and not with the brand ambassador approach. The HRM function is being utilized to protect the desired reputation, which entails that reputation management in reality is people management. Relatedly, the third paper, which is based on interviews with principals in public sector upper secondary schools in Oslo, reveals that brand ambassadorship seems to be an unrealistic approach in organizations exposed to marketization, in this case public sector schools. As a consequence, internal branding, usually an approach for ”selling” the brand to employees in order for them to ”sell” the brand to external stakeholders, is not the preferred approach by school executives. It is being trumped by voice restrictions in the form of prior message control imposed on teachers, all in order to build and protect the desired brand image. Organizations exposed to high market pressure where the brand is crucial and much is at stake do not seem allow for the trust needed to stimulate brand ambassadorship. The outcome of the restrictive approach is public silence by teachers in general, in that they shy away from taking part in public debate due to fear of sanctions. This takes part on the expense of the public interest, which, arguably, is that public sector organizations in general and public sector schools in particular shall serve the general public in a satisfactory way. Moving from a qualitative to a quantitative approach, the relationships between HRM approach, leader-member exchange (LMX), and different manifestations of employee brand support are explored in the fourth paper, titled "Mind anchors and heart grips: The role of HRM approach and LMX in internal branding". Based on data from employees at a public sector hospital, a mediated and moderated path model was tested. Findings unveil positive relationships between both high-commitment HRM and LMX and employee brand support measured through reputation strategy embeddedness, brand-congruent behaviour, and brand development participation. As hypothesized, the relationships are mediated by organizational commitment. LMX moderates the relationship between high-commitment HRM and reputation strategy embeddedness, but not between high-commitment HRM and brand-congruent behaviour and brand development participation, respectively, and none of these relationships when they are mediated by organizational commitment. Analyzed in light of internal branding theory, the findings suggest that it is mainly a commitment- leaning HRM approach, not a control-leaning approach, which facilitates internal branding. Findings also suggest that high quality LMX relationships function as facilitators for successful internal branding.Få forskere har trukket linjer mellom forskning på HRM, ansattes ytringsrom (employee voice) og organisasjonsmessig merkevarebygging (branding). Denne avhandlingen bøter på nettopp dette, i og med at jeg studerer de tre temaene i lys av hverandre. En slik interdisiplinær tilnærming er reflektert i den overordnede problemstillingen for avhandlingen: Hva er forholdet mellom organisasjonsmessig merkevarebygging, HRM og ansattes ytringsrom i organisasjoner? Basert på den overordnede problemstillingen følger fire forskningsspørsmål som avhandlingen søker å gi svar til: (i) Hva er de primære intra-organisasjonsmessige fasilitatorene for at ansatte aktivt støtter virksomhetens strategi, og hvor står disse fasilitatorene i forhold til kontinuumet mellom kotrnoll og forpliktelse i HRM-forskning? (ii) Hvilken rolle har HRM i håndteringen av organisasjoners omdømme, og hva er implikasjonene av omdømmefokusert HRM for ansattes ytringsrom? (iii) Hvordan opplever og håndterer ledere i organisasjoner i offentlig sektor spenningen mellom det å gi ansatte tillit som merkevareambassadører samtidig som de regulerer ansattes ytringer, og hva er implikasjonene av dette for hensynet til samfunnets beste? (iv) Hvilken HRM- tilnærming, erfart og opplevd av ansatte, legger best til rette for intern merkevarebygging (internal branding), og spesielt, for ansattes oppslutning om og støtte av organisasjonens merkevare? Disse forskningsspørsmålene er utforsket og besvart i fire vitenskapelige artikler. Den første artikkelen, som har tittelen "Trust and shout: HRM as facilitator for active strategy support", er basert på en systematisk gjennomgang av litteraturen på fasiliterende faktorer for ansattes aktive oppslutning om og støtte av strategi initiert av ledelsen i virksomheten der de jobber, herunder strategier for merkevarebygging. Identifiserte fasilitatorer blir analysert i lys av ulike HR-tilnærminger. 12 hovedfasilitatorer blir identifisert. Av disse graviterer de fleste, men ikke alle, mot forpliktelse, altså mot forpliktelsessiden i kontroll-forpliktelse-kontinuumet. Fasilitatorene som er påvist i flest studier graviterer også mot forpliktelse. Følgelig ser det ut til at forpliktelsesbasert HRM fungerer best og er mest effektiv når det gjelder å få ansatte til aktivt å slutte opp om og støtte strategi generelt, og merkevarestrategier spesielt. I den andre artikkelen, kalt "When reputation management is people management: Implications for employee voice", ble data fra 30 intervjuer analysert for å utforske spenningen mellom organisasjoners ønske om et fordelaktig eksternt omdømme og risikoen for negative og kritiske ytringer (prohibitive voice) om organisasjonen i eksterne fora. Studien tar utgangspunkt i det teoretiske spennet mellom det å la ansatte agere som merkevareambassadører, som er basert på tillit, og innføre restriksjoner på ytringer, noe som er basert på mistillit. Studien indikerer at organisasjoner håndterer denne spenningen med kontrollorientert HRM og såkalt teknokratisk kontroll, noe som her manifesterer seg i restriksjoner på ansattes muligheter til å ytre seg. Spenningen håndteres i mindre grad ved å gi ansatte tillit som merkevareambassadører. En implikasjon av dette er at HR-funksjonen brukes for å beskytte organisasjoners omdømme, noe som innebærer at håndtering av omdømme ofte er håndtering og ledelse av mennesker. Artikkel nummer tre, som er basert på intervjuer med rektorer ved offentlige videregående skoler, tyder på at merkevareambassadør-tilnærmingen ikke er realistisk i organisasjoner eksponert for marketisering; her offentlige videregående skoler i Oslo. En konsekvens av dette er at intern merkevarebygging (internal branding), som er en strategi for å “selge” organisasjonens merkevare til ansatte slik at de i sin tur vil “selge” den til eksterne interessenter, ikke er den foretrukne tilnærmingen for skoleledere. I stedet foretrekker skoleledere restriksjoner på eksterne ytringer på føre var-vis, altså kontroll av læreres mulige ytringer før de blir ytret – alt for å bygge og beskytte skolenes ønskede merkevare. Organisasjoner eksponert for markedsmessig press der merkevaren er essensiell og mye står på spill demonstrerer ikke den nødendige tilliten til ansatte for å la dem være merkevareambassadører. Konsekvensen av denne restriktive strategien er offentlig taushet fra lærere, i og med at de ikke deltar i offentlig debatt og ordskifter av frykt for sanksjoner fra skoleledelsen. Dette går på bekostning av det som er en sentral oppgave for organisasjoner i offentlig sektor generelt og offentlige skoler spesielt, nemlig å tjene offentlighetens og samfunnets interesser. I den fjerde artikkelen, som baserer seg på kvantitative analyser av survey-data fra ansatte ved stort offentlig sykehus, studeres forholdet mellom HRM-tilnærming, forholdet mellom ansatt og leder (leader-member exchange) og ulike uttrykk for ansattes oppslutning om og støtte av organisasjonens merkevare. I artikkelen, som har tittelen "Mind anchors and heart grips: The role of HRM approach and LMX in internal branding", analyseres data med stianalyse. En modell med en mellomliggende variabel (mediator) og mulig samspill mellom to variabler blir testet. Resultatene viser at at det er statistisk signifikante sammenhenger mellom både forpliktelsesorientert HRM (high-commitment HRM) og leader-member exchange (LMX) og tre uttrykk for ansattes oppslutning om og støtte av organisasjonens merkevare (reputation strategy embeddedness, brand-congruent behaviour, and brand development participation). Som antatt er sammenhengene mediert av organisasjonsmessig forpliktelse (organizational commitment). Samspill mellom forpliktelsesorientert HRM og LMX gjør at LMX modererer forholdet mellom forpliktelsesbasert HRM og reputation strategy embeddedness, men ikke mellom forpliktelsesbasert HRM og variablene brand-congruent behaviour og brand development participation. LMX moderer ingen av disse forholdene når de medieres av organisasjonsforpliktelse (organizational commitment). Analysert i lys av teori om intern merkevarebygging (internal branding) tyder funnene på at forpliktelsesbasert HRM fasiliterer intern merkevarebygging. LMX-forhold av høy kvalitet ser også ut til å legge til rette for suksessfull intern merkevarebygging